Nola planifikatu router VPN itzulera urruneko aldaketa baten aurretik

Zure saioa daraman tunela editatzera zoaz, beraz, salbatzen zaituen lana aldaketaren aurretik gertatzen da, ez horren ondorengo nahastean. Segurtasun-sarea ez dago VPN orrian: leheneratzeko pantaila, kontsola bat edo bigarren bide bat da, editatzen ari zaren gailuan zehar exekutatzen ez dena. Hirurak editatzen ari naizen bideratzaileen interfaze berean planifikatzen ditut eta bidea behin erabiltzen dut dena funtzionatzen duen bitartean. Jarraitzen dudan ibilbidea da, ordenan.

Ibili leheneratu fluxua behar baino lehen

Ireki aldaketa desegingo lukeen orria. pfSense-n hori Diagnostikoak > Babeskopia eta leheneratzea; OpenWrt-en Sistema> Backup / Flash Firmware da; OPNsense-n Sistema > Konfigurazioa > Babeskopia da, eta fitxategirik gabe itzul ditzakezun aurreko berrikuspenak ere gordetzen ditu. Oraindik ez duzu ezer leheneratzen ari. Orrialde hori aldaketan zehar izango duzun bidetik irekitzen den egiaztatzen ari zara, gero berrabiarazi nahi duen ala ez eta beste firmware-oharra batek idatzitako artxibo bat baztertzen duen. Netgate-k bere esportazio- eta leheneratzeko fluxua dokumentatzen du docs.netgate.com.

Berreskuratze batek konfigurazio osoa trukatzen du, beraz, ez da arau batentzako desegin. Artxiboak erabiltzaileak, ziurtagiriak, VPN gakoak, suebaki-arauak eta administrazio-interfazearen ezarpenak biltzen ditu, nork saioa hasi dezakeen erabakitzen dutenak. Horregatik, aldaketaren aurretik berehala esportatzen dut eta fitxategiari izena jarri diot ukitu nahi dudan data eta ezarpen bakarrarekin. Hilabeteko fitxategi bat leheneratzeak hilabeteko tunel bat eta hilabeteko gako bat ere berreskuratzen ditu.

Plataformak bertsio bereko artxiboak soilik kargatzen baditu, kontutan izan orain: firmwarearen eguneratzeak eta VPN edizio bat leiho batean uzten zaitu bideratzaileak onartuko ez duen fitxategia eskuetan.

Frogatu tunela saltatzen duen modu bat

Ordenagailu eramangarri beretik helbide publiko berera bigarren SSH saio bat ez da bigarren bide bat; biak batera hiltzen dira. Bide independentea hauetako bat da: serieko edo KVM kontsola bat, hipervisor edo hodeiko kontsola bat, tunelaren atzean ez dagoen ostalari batetik eskura daitekeen kudeaketa VLAN bat, bigarren WAN edo LTE modem bat administrazio-arau propioa duena edo gunean dagoen pertsona bat.

Probatu aukeratutako bidea bideratzailea osasuntsu dagoen bitartean. Hasi saioa haren gainean, ireki VPN orria eta gelditu gorde aurretik. Blokeo-arau batek aginte-panelera bakarrik iristen uzten badu, oraindik denbora duzu hori konpontzeko, eta zuzenketak ukatze-arauaren gainetik egon behar du arau-ordenan.

Bideratzaile gehienek administrazio-zerbitzua interfaze edo helbide-familia batera lotzen dute, beraz, bandaz kanpoko ibilbide batek zerbitzu horrek entzuten duen tokira iritsi behar du. Leihorako koadroa zabaltzeak funtzionatzen du, baina menpeko zaren bidearen aldaketa da.

Esportatu fitxategia eta idatzi abiarazlea

Eraman esportazioa bideratzailetik eta tunela gal dezakeen makinatik kanpo. Bideratzaileen fitxategi-sisteman gordetako babeskopia bat planifikatzen ari zaren hutsegitean desagertzen da, eta ordenagailu eramangarri batean eserita konektagarritasuna galtzear dagoen bat ozta-ozta hobea da.

Tratatu fitxategi hori kredentzial gisa. Gako pribatuak, aurrez partekatutako sekretuak, ziurtagiri-materiala eta pasahitzen hashak ditu, beraz, enkriptatu edo gorde ezazu bideratzailearen saio-hasieraren arreta berarekin.

Ondoren, idatzi esaldi bat: ezin badut PATH-etik kudeaketa saio berri bat ireki aldaketaren ondorengo N minututan, FILE berrezartzen dut eta berrabiarazi. Esaldiak aldagai batera murrizten du esparrua. Ibilbideen, DNSren eta suebakiaren aldaketak batera egiten diren bizkor gordetzen dira eta moteltzen dira beste saiakera bat lortzen duzunean.

Erabili konpromezuaren tenporizadore bat plataformak badu

Hainbat plataformak desegingo dizute aldaketa berresten ez baduzu. RouterOS Modu segurua, terminal batean Ctrl+X-rekin sartuta, saio horretan egindako aldaketak leheneratzen ditu saioa jaisten denean. Junos-ek berretsi gabeko konpromiso bat atzera botatzen du. Cisco IOS bikoteak birkargatu berriro kargatu bertan behera uzteko. Enpresen suebakiek normalean itzultze automatikoko tenporizadore batekin egiten dituzte zain dauden aldaketak. OpenWrt-ek eta kontsumitzaileen firmware gehienek ez dute ezer baliokiderik, beraz, hor tenporizadoreak kanpokoa izan behar du: programatutako leheneratzea, fitxategi bat berriro trukatu eta zerbitzua berrabiarazten duen cron lana edo aurreko konfiguraziora berrabiarazi.

Ez suposatu antzeko izena duen ezaugarri batek esparru bera hartzen duela. Produktu baten itzulera automatikoak suebakiaren arauak soilik estal ditzake; beste batek konfigurazio osoa estal dezake, zure esku egon dadin aldatu berri duzun kudeaketa-araua barne. Irakurri tenporizadoreak zer itzultzen den horretan fidatu aurretik.

Tenporizadorea ez da esportatutako fitxategi baten ordezkoa. Hemen garrantzitsuena den kasuan huts egiten du: saioak bizirik irauten du, kudeaketa-hegazkinak ez, eta ezerk ez du inoiz itzulera eragiten.

Probatu konexio berri bat, ez irekia

Ezarritako saio batek askotan esku-emate berri bakoitza blokeatzen duten aldaketen bidez funtzionatzen jarraitzen du, bere egoera dagoeneko existitzen delako eta konexio bat sortzen denean politika ebaluatzen delako. Aldaketa egin ondoren, sortu konexio berriak urruneko aldean: SSH saio berri bat, bezero baten VPN esku-harreman berri bat, orri arrunt bat bideratzailearen LAN helbidean.

# run these from the remote machine, in a new shell
ssh -o ConnectTimeout=8 admin@"$ROUTER_WAN"
nc -vz "$ROUTER_WAN" 443
dig +short example.internal "@$ROUTER_LAN"

Ondoren, probatu tuneletik behera eta ez tuneletik bera: izenaren ebazpena, barne zerbitzu baterako TCP konexioa eta benetan erabiltzen duzun aplikazioa. DNS erabilgarririk ezarri baina ematen ez duen tunel batek osasuntsu ikusten du bezeroaren egoeran eta hautsita nabigatzailean, eta desberdintasun horrek erabakitzen du fitxategia leheneratu edo arau bat konpontzen duzun.

Errepikatu behartutako deskonektatu eta berriro konektatu ondoren, eta beste behin berrabiarazi ondoren plataformak abiaraztean egoera berriro aplikatzen badu. Konfigurazio batzuek zuzeneko proba guztiak gainditzen dituzte eta lehen abioan huts egiten dute arau berriak ezarrita.

Itxi leihorako ireki dituzun ateak

Kendu aldi baterako edozein iturburuko administrazio-araua, botatzeko kontua, lotura zabaldua, DNS arau baimentzailea eta arazketa-erregistroa. Kentzea bera menpeko zaren bidearen aldaketa bat da, beraz, berriro exekutatu berri-konexioaren proba, urruneko aldean.

Mantendu esportatutako fitxategia aldaketak berrabiarazi eta benetako bezero bat berriro konektatu arte, eta biratu leihoa irekita zegoen bitartean partekatu duzun guztia. Hurrengo abiaraztera arte funtzionatzen duen konfigurazioa astebete geroago bideratzaile bat galtzeko modu lasaia da, inork ez duenean gogoratzen zein den behin-behineko araua.

Idatzi aldaketa hurrengo pertsonak begiratzen duen lekuan: zer mugitu den, zein fitxategi desegiten duen, zein bide iristen den kontsolara eta zein arau izan den aldi baterako.

VPN orria ireki aurretik, lau gauza egon behar dira: probatu duzun leheneratzeko fluxua, frogatu duzun bigarren bide bat, esportatutako fitxategi bat benetan eskura dezakezun eta idatzizko abiarazlea. Norbait falta bada, konpondu lehenik. Aldaketak ordubete itxaron dezake; blokeo batek ezin du.